PS-00166-2024

1/47  Expediente N.º: EXP202403154 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 12 de febrero de 2024, se interpuso reclamación ante la Agencia Española de Protección de Datos, por una posible infracción imputable a la UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I (en adelante, UCM). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante expone que, en septiembre del 2023, presentó una instancia para participar en un proceso selectivo (…) de la Universidad Complutense de Madrid. Para exonerarse del pago de la tasa, se acogió a su condición de víctima de violencia de género, adjuntando para ello el título habilitante de los servicios sociales. En fecha 7 de diciembre, se abrió un proceso de información pública. Al no estar conforme con la puntuación otorgada, interpuso una reclamación ante la Comisión de Reclamaciones de la Universidad Complutense de Madrid. Señala que, en fecha 9 de febrero de 2024, le fue notificada, a través de su correo electrónico, la resolución de su reclamación. En dicha resolución se hacía referencia expresa a su condición de víctima de violencia de género cuando en la reclamación no se mencionaba esta circunstancia. Reclama que dicha resolución haya sido notificada al resto de los candidatos, tal y como la Comisión le confirmó por correo electrónico. Entiende por tanto que se ha quebrantado la normativa de protección de datos al haberse revelado a terceros su condición de víctima de violencia de género, ya que la actuación debe maximizar la protección de los datos y la intimidad de este colectivo y evitar que, a la conmoción producida por el daño físico, psíquico, familiar, social o económico, se añada una segunda victimización derivada de un inadecuado tratamiento de su información personal en la ejecución de los procedimientos en los que participen. Junto al escrito, aporta copia de la Resolución dictada, en fecha 9 de febrero de 2024, por el Rectorado de la UCM. En dicho documento, tras identificar a las dos personas que habían presentado reclamación- entre ellas, la reclamante ante la AEPD: se indica lo siguiente: (…) la Comisión de Reclamaciones (…) ha decidido su acumulación por existir entre las mismas la íntima conexión a la que se refiere el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de la Administraciones Pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/47 A continuación, se detallan los argumentos recogidos en sendas reclamaciones sin que quede reflejo de la condición de víctima de violencia de género de la reclamante ante esta AEPD. Posteriormente, en la valoración de los argumentos en los que se basa la reclamación presentada por la reclamante ante esta AEPD, se indica lo siguiente: Respecto a la segunda reclamación, la Comisión de Selección “ha solicitado documentación complementaria a la candidata A.A.A. para disponer del Informe de su vida laboral y poder comprobar si procedía la aplicación del punto 6. Medidas de acción positivas” y ha constatado que, aunque se le reconoció una prestación social durante 4 meses por nacimiento y cuidado de un menor, la reclamante “no ha presentado un certificado que acredite Permiso de maternidad durante el ejercicio de su actividad docente e investigadora en universidades o centros de investigación”. “En consecuencia, esta Comisión de Selección entiende que no procede la aplicación de Medidas de acción positiva por no ajustarse lo acreditado por A.A.A. a la normativa recogida en la convocatoria de la plaza”. La misma consideración merece su condición de víctima de violencia de género desde (…), “dado que en ese período la solicitante no acredita encontrarse en el ejercicio de su actividad docente e investigadora en universidades o centros de investigación”. Asimismo, aporta copia de los correos electrónicos intercambiados con la Universidad reclamada, en concreto, con la sección de la comisión de reclamaciones. Interesa señalar que, tras recibir la resolución de su reclamación descrita anteriormente y ante la pregunta de la reclamante acerca de si la otra candidata había recibido la misma documentación, la respuesta que se le proporciona es la siguiente: “la resolución ha sido notificada a todos los interesados en el procedimiento”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la UCM, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 28 de febrero de 2024, como consta en el certificado que obra en el expediente. En fecha 5 de marzo de 2024, se recibe en esta Agencia escrito de respuesta de la UCM indicando, en primer lugar, que la resolución de la Comisión de Reclamaciones únicamente fue comunicada a las partes interesadas en el proceso selectivo, en cumplimiento de lo dispuesto en el artículo 4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en concordancia con el artículo 53 del mismo texto legal, relativo a los derechos de los interesados. Concretamente, la resolución fue «exclusivamente» notificada a las siguientes personas: A.A.A., reclamante en el procedimiento selectivo y denunciante ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/47 AEPD; B.B.B., reclamante en el mismo procedimiento selectivo y a su vez candidata propuesta para ocupar la plaza; y a la Presidenta de la Comisión Evaluadora. Expone que la cuestionada resolución no ha sido comunicada a ninguna otra de las personas participantes en el procedimiento selectivo (que, en concreto, eran 4 personas más). Asimismo, ninguno de estos participantes solicitó vista del expediente, por lo que no han tenido acceso a la documentación presentada por la reclamante. Entiende que, en definitiva, se ha producido un malentendido con el mensaje en el que la Sección de Reclamaciones indicó a la reclamante quiénes eran los destinatarios de la resolución. Cuando se dijo "a todos los interesados en el procedimiento" se refería al procedimiento de reclamación, no al procedimiento selectivo en su conjunto. Así, como ya se ha hecho valer, la resolución se remitió a las dos reclamantes (dado que se habían acumulado ambos procedimientos de revisión, relativos al mismo proceso selectivo), a la Presidenta de la Comisión Evaluadora o de selección, y al Servicio de Gestión de PDI, que necesitaba conocer el resultado para continuar con la tramitación que procediese en cada caso. Por otra parte, manifiesta que aun cuando la condición de víctima de violencia de género no puede, en principio, incardinarse dentro de las categorías especiales de datos a los que se refiere el artículo 9 del RGPD, la UCM, como responsable de los tratamientos, tiene la obligación de maximizar la protección de los datos y la intimidad de este colectivo de víctimas. En este caso, informa que no se trata de una publicación, ni en abierto ni de manera restringida en una intranet de la UCM. El acceso se produce en el marco del procedimiento selectivo y únicamente por la propia reclamante que invocó su condición de víctima de violencia de género y por la candidata propuesta, quien ostenta un indiscutible interés legítimo en conocer la información que integra el expediente completo y que, de alguna manera, puede tener incidencia en el resultado final del procedimiento. Interés legítimo que concurre tanto desde la perspectiva del derecho administrativo (artículo 4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común), como del derecho relativo a la protección de datos de carácter personal (artículo 6.1.f del RGPD). Asimismo, debe señalarse que, para la Comisión Evaluadora y para la Comisión de Reclamaciones, el tratamiento de los datos contenidos en el expediente de cada candidato es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (UCM), hallando éstos, en consecuencia, la base jurídica legitimadora en el artículo 6.1.e del RGPD. Sobre este particular, es menester recordar que tal y como advierte la convocatoria en sus bases, la falta de abono de los derechos de examen durante el plazo de presentación de instancias no es subsanable, lo cual determinará la exclusión del/la aspirante. La invocación del dato referente a la condición de víctima de violencia de género tiene como consecuencia la exención de las tasas, produciendo con ello un acto administrativo que incide directamente en la esfera jurídica de los demás participantes en el proceso selectivo y, en consecuencia, interesados. Pues, en efecto y como sabemos, el pago de las tasas o, en su caso, la acreditación de la exención es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/47 requisito ineludible e insubsanable para la participación en el proceso selectivo. El acto administrativo por el que se admite a la candidata al proceso selectivo, lejos de ser un acto graciable, es un acto reglado que, por tanto, está sometido al control jurisdiccional. Por consiguiente, la justificación de acceso sin pago de tasas requiere la demostración de la aspirante de hallarse incursa en supuesto de exención. Y eso supone, necesariamente, el acceso de los interesados en el procedimiento a toda la información y documentación que, en su caso, podría ser impugnada. Así, y como se informa a los aspirantes en la propia convocatoria –que vincula tanto a la Administración como a los administrados– toda persona que ostente la condición de interesada en los procedimientos de selección tiene derecho de acceder al expediente, si así lo solicita. En todo caso y para la preservación de los derechos de las personas afectadas, los interesados acceden a la información contenida en el expediente previa suscripción de un compromiso de confidencialidad, donde expresamente se les advierte que la información únicamente podrá utilizarse para la formulación, el ejercicio o la defensa de reclamaciones, ya sea por un procedimiento administrativo o un procedimiento judicial. Se adjunta documento nº 2. Aun así, y ante la situación producida, desde el Servicio de Gestión de PDI se ha tomado la medida de incluir en el acta de constitución de cada comisión de selección una declaración en la que se haga constar que todos los miembros son conocedores de su deber de confidencialidad y obligación de tratar los datos personales conforme a la legislación vigente. Todo ello con el fin de reforzar la idea y recordar la importancia que tiene la protección de los datos de carácter personal que se gestionan. Se adjunta documento nº 3. Asimismo, informa que en estas fechas se está produciendo la renovación de los miembros de la Comisión de Reclamaciones y, en el acto de constitución, cuando acceden por tanto a la condición de miembros de este órgano revisor, firman también el compromiso de confidencialidad. Se adjunta documento nº 4. Por último y siguiendo el asesoramiento emitido por el DPD, con fecha de 4 de marzo de 2024, se ha comunicado a la candidata propuesta, el carácter confidencial de la resolución notificada, haciéndole saber que sólo se podrá hacer uso de la información allí contenida en el ejercicio de posibles acciones judiciales en defensa de sus intereses legítimos. En suma y en atención a todo lo argumentado, sin perjuicio del deber de evitar la publicación en internet en abierto de cualquier información de la que se infiera, directa o indirectamente –obligación de confidencialidad que se cumple en esta Universidad–, la condición de víctima de violencia de género de una aspirante debe ser, sin embargo, accesible a los interesados en el procedimiento. Pues, en efecto, de acuerdo con los principios de transparencia y de interés legítimo, resulta justificado el acceso restringido únicamente por parte de los interesados y órganos de selección, a datos sensibles cuando la utilización de esa información ha supuesto algún tipo de ventaja o medida positiva para alguno de los participantes en el procedimiento, y siempre que se limite a los datos personales mínimos imprescindibles para determinar el cumplimiento de los requisitos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/47 Todo ello sin perjuicio de la adopción de las medidas adecuadas para la protección de los derechos y libertades públicas de la persona afectada, en relación con el compromiso de confidencialidad firmado por quienes acceden a la información, en el ejercicio de un derecho o en el cumplimiento de una misión en interés público amparado en la Ley. Y así sucede en el caso examinado mediante la exigencia de la firma de los correspondientes compromisos de confidencialidad del uso de los datos personales comunicados para el fin exclusivo del ejercicio del derecho de defensa, junto al deber de secreto profesional y de confidencialidad que la Ley impone a los funcionarios y empleados públicos en el ejercicio de sus cargos y desempeño de sus funciones. Por todo lo expuesto, considera que el tratamiento ha sido lícito y conforme a los principios a los que obliga el artículo 5 del RGPD, por lo que solicita el archivo de la denuncia, sin más trámites. TERCERO: En fecha 27 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: En fecha 31 de marzo de 2024, la parte reclamante presentó nuevo escrito de ampliación de la reclamación presentada en fecha 12 de febrero de 2024, en el que pone de manifiesto que los expedientes de los candidatos al puesto se hicieron públicos el día 7 de noviembre, incluyendo su título habilitante como víctima de violencia de género. Afirma que este hecho se ha repetido en otro proceso selectivo del que forma parte y que dicho título lo aportó a los solos efectos de pago de tasas o justificación de exención, pero en ningún caso a los efectos de la valoración de los méritos profesionales. Junto al escrito mencionado, adjunta justificante de su solicitud de participación en el proceso de selección convocado por la Universidad reclamada y dos Resoluciones de la UCM, de fecha 2 de noviembre de 2023 y 14 de febrero de 2024, por las que se hacen públicas las listas definitivas de aspirantes de admitidos y excluidos, el día, hora y lugar en el que los aspirantes podrán examinar la documentación presentada por los demás aspirantes y la composición de la Comisión de Selección. QUINTO: En fecha 15 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio fue notificado, conforme a las normas establecidas en la LPACAP, por medios electrónicos, en fecha 21 de abril de 2025, como consta en el certificado que obra en el expediente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: PRIMERO. - Valoración general. Frente a la imputación de la infracción, entiende que el tratamiento por parte de la UCM del dato personal fue lícito, por el peso que tienen en la materia (procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/47 de selección de personal y, dentro de él, una vía de impugnación o revisión) los derechos de terceros interesados y el deber de los empleados públicos de actuar conforme al principio de legalidad en la aplicación objetiva de las bases del concurso. Asimismo, considera que la anonimización de la información conflictiva no sería posible sin haber supuesto merma de derechos de la otra aspirante involucrada en la reclamación, que tienen respaldo en los principios constitucionales de igualdad, mérito y capacidad (art. 23, en relación con el 103.3 CE). Por tanto, entiende que la aplicación ponderada del derecho a la protección de datos y del derecho de acceso a empleos públicos debe saldarse con arreglo a la regla de la confidencialidad que debe regir estos procesos de selección, pero no con la minimización o anonimización de un dato que no es posible ocultar. SEGUNDO. - Sobre la defectuosa tipificación de la infracción. Alega que el art. 72.1 LOPDGDD indica que las infracciones deben suponer “una vulneración sustancial de los artículos mencionados” en el art. 83.5 [en este caso concreto, el art. 5 RGPD, tal como indica la letra
2. a)del art. 72.1] para ser consideradas como “infracciones muy graves”. Precisamente, el adjetivo “sustancial” entiende que es clave en la defensa exculpatoria de la Universidad Complutense, por no poder calificarse la actuación perseguida como una “vulneración sustancial” del principio de minimización de datos personales, que requeriría un incumplimiento flagrante de su contenido. TERCERO. - Valoración del dato personal de tener la condición de víctima de violencia de género. En este apartado expone tres consideraciones relevantes sobre el dato personal cuyo tratamiento entiende que ha derivado en la incoación del presente expediente sancionador. Primero, alega que técnicamente la condición de víctima de la violencia de género no es un dato especialmente protegido, aunque sea indudable que es un dato sensible. Se remite al respecto al Documento nº 19, que contiene el Informe de 5 de marzo de 2024 de la DPD de la UCM de respuesta a la solicitud de información previa de la AEPD sobre la reclamación/denuncia de A.A.A.. Segundo, afirma que ese dato personal incide en dos aspectos diferentes del procedimiento administrativo de selección: la determinación de la tasa a abonar para participar en el concurso y la determinación de la puntuación de los aspirantes, puesto que el baremo establece beneficios para los candidatos que han experimentado determinadas circunstancias personales o sociales, entre las que se encuentra la violencia de género. Efectivamente, el doble valor en los concursos de selección del dato personal relativo a ostentar la condición de víctima de violencia de género, a efectos de tasas y a efectos de baremo, le obliga a remitirse a las bases del concurso, las cuales se aportan con el Documento nº 2. Manifiesta que el dato personal de la condición de víctima de violencia de género de una de las concursantes fue aportado por ella misma a efectos de la exención de tasas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/47 en el procedimiento selectivo y fue objeto de tratamiento en dos aspectos. Primero, para la comprobación de su derecho a la exención en el trámite de admisión al concurso de referencia, dado que el abono de la tasa es un requisito esencial para participar en el proceso y tiene carácter de requisito no subsanable. Tratamiento que fue realizado por el responsable (el servicio de gestión de PDI) y no plantea problema alguno. Segundo, una vez superada la fase sustancial del proceso, consistente en la evaluación de los candidatos, por un lado, de su currículum vitae y por otro de la exposición oral de sus méritos, se formuló la propuesta de provisión de la plaza, en la que la persona propuesta (B.B.B.) y la interesada, que fue la segunda mejor valorada (A.A.A.), quedaban separadas solo por una décima de puntuación. Tercero, indica que es preciso diferenciar entre el dato objetivo de ser víctima de violencia de género, que es imprescindible conocer para aplicar los dos efectos antes señalados, y la información personal asociada a ese dato, que nunca se debe desvelar y que es lo que constituiría, en su caso, una vulneración sustancial del principio de minimización. Por tanto, entiende que es imprescindible diferenciar entre la acreditación del dato y la información personal asociada al dato. De lo expuesto, considera necesario en el presente caso que se proceda a la aplicación ponderada de la legislación de protección de datos al tratarse de un procedimiento selectivo o de concurrencia competitiva. Expone que la protección de datos no dispensa una protección absoluta y sin matices de la información personal. Entiende que, sin duda, es un derecho fundamental (derivado del art. 18.4 CE), pero que debe ser ponderado con otros (art. 23.2, art. 24.1 CE) involucrados en un proceso de selección. En este caso concreto afirma que se ha hecho un tratamiento de ese dato personal que se ha de considerar lícito, porque cuenta con una base legal y el modo en que se ha realizado se ha circunscrito a la finalidad perseguida, que era el exhaustivo examen y resolución de las dos reclamaciones interpuestas contra la propuesta de resolución del concurso. Alega que el saldo de la ponderación de derechos fundamentales es la confidencialidad de la información, que en este caso afirma que ha quedado garantizada, pero no su eliminación ni ofuscación, más allá de circunscribirse la información a la estrictamente necesaria. Por último, afirma que en un procedimiento de reclamación no cabe anonimización. Es decir, que, interpuesta una reclamación, debe darse satisfacción al interés legítimo consistente en el acceso a todo el expediente, al menos en la medida en que sea necesario para ejercer su derecho de defensa. En ese acceso, en las circunstancias concretas de este caso, entiende que no cabe anonimización de la condición de víctima de género. CUARTO. - Sobre el acceso por terceros a información que contiene datos de carácter personal de participantes en procesos públicos de selección de personal cuando uno de los criterios de valoración es la condición de víctima de violencia de género. Indica que, en el caso planteado en el presente procedimiento sancionador, la regulación del derecho de acceso a la documentación obrante en el expediente, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/47 acuerdo con el artículo 53 de la Ley del Procedimiento Administrativo Común de las Administraciones Públicas, afecta indudablemente a los derechos previsto en el Capítulo III del RGPD y Titulo III de la LOPDGDD. Expone que el efectivo ejercicio de cualquier derecho supone la existencia de obligaciones y deberes para quien debe garantizar dicho cumplimiento, por eso la traducción en el ámbito de la normativa de protección de datos del derecho previsto en el artículo 53.1 LPACAP, es un tratamiento que es de obligado cumplimiento para el responsable del mismo, en este caso, la Universidad responsable del procedimiento. Por tanto, afirma que la base jurídica que legitima este tratamiento consistente en la puesta a disposición del expediente, con los datos personales de los afectados, será la prevista en el artículo 6.1 c del RGPD, en virtud de la cual, el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Pues bien, en el presente caso, considera que nos hallamos ante un proceso de concurrencia competitiva, en la que los participantes ostentan obviamente la condición de interesados en el mismo, debe considerárseles reconocido el derecho establecido en el artículo 53 de la Ley 39/2015. Pues bien, entiende que esa Universidad, en el presente caso, en relación con la seguridad del tratamiento de este tipo de datos, a través de la confidencialidad abordó la concreta medida necesaria para la seguridad de los datos manejados. QUINTO. - Doctrina, jurisprudencia y Defensoría del Pueblo en relación al máximo acceso que los aspirantes de un proceso selectivo deben de tener respecto de la documentación aportada por el resto con el fin de garantizar su derecho defensa y acceso en condiciones de igualdad a punto en las AAPP: preeminencia del principio de publicidad. Alega que en la doctrina española se sostiene de forma unánime que los aspirantes a una plaza en la Administración Pública, en cuanto «interesados» en el procedimiento, gozan del derecho de acceso al expediente administrativo completo del proceso selectivo, incluyendo los ejercicios u otros méritos presentados por los demás candidatos. Destaca el contenido de la Queja núm. 18018251, por ser expresiva de la doctrina de la Audiencia Nacional y de la propia AEPD. En este sentido entiende que la propia AEPD y la Audiencia Nacional reconocen que, en un proceso selectivo, ha de primar el principio de publicidad frente al de protección de datos personales por lo que en base a este argumento concluye el acceso total al expediente del proceso selectivo. SEXTO. - Adopción de medidas adecuadas por parte de la UCM. No obstante, a fin de mejorar el cumplimiento de la normativa en materia de protección de datos y la intimidad del colectivo de mujeres víctimas de violencia de género, resalta que esa Universidad, en el presente caso: o Ha reaccionado con prontitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/47 o Ha mejorado los procedimientos y protocolos, estableciendo claramente e informando al destinatario sobre el único fin al que sirve el acceso al expediente. Asimismo, no podrán utilizar los datos a que tengan acceso para una finalidad distinta a aquélla de la defensa de su derecho en el procedimiento de que se trate o posteriormente en vía judicial. De este modo la utilización para otras finalidades, su comunicación a terceros o su divulgación pueden ser constitutivas de una infracción prevista en la LOPDGDD. o Se ha asumido un compromiso de vigilancia por parte de los empleados públicos responsables del Servicio de Gestión de Personal, estableciendo técnicas de pseudonimización como, por ejemplo, crear dentro de la convocatoria una categoría denominada “criterios de información sensible” o “circunstancias especiales”, que aglutine la condición de víctima de violencia de género, etc.., de modo que si se accede al expediente se indique que se ha obtenido puntuación dentro de la citada categoría. o Se emitirá en breve una instrucción específica que incida en la separación entre requisitos de admisión y méritos evaluables, de manera que las Comisiones de Selección solo tengan acceso a los segundos. Todo ello sin perjuicio de que, en caso de reclamación y a efectos de ejercicio del derecho de defensa, no se puede denegar el acceso a toda la documentación del concurso por parte de eventuales recurrentes y de los órganos de resolución de las reclamaciones, cuando esa información sea cuestionada en la impugnación. SÉPTIMO: En fecha 17 de febrero de 2026, se formuló propuesta de resolución, en la que se dio respuesta a las alegaciones presentadas frente al acuerdo de inicio y se propuso lo siguiente: << Que por la Presidencia de la Agencia Española de Protección de Datos se declare que la UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I, ha infringido lo dispuesto en el artículo 5.1.
3. c)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a la UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I, que en virtud del artículo 58.2.
4. d)del RGPD, en el plazo máximo de 3 meses, acredite haber procedido a la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
5. c)del RGPD.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 17 de febrero de 2026, como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 19 de febrero de 2026, la UCM presentó un escrito a través del cual solicitaba la ampliación del plazo que le fue concedido para formular alegaciones. En fecha 20 de febrero de 2026, el órgano instructor del procedimiento acordó la ampliación de plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones El citado acuerdo fue notificado en fecha 20 de febrero de 2026, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/47 NOVENO: En fecha 10 de marzo de 2026, UCM presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, manifiesta que: ALEGACIÓN PRIMERA. - Hechos relevantes y cuestionamiento probatorio. UCM considera que la reconstrucción fáctica realizada por la Instructora en la propuesta de resolución adolece de una visión parcial que ignora el contexto normativo de los procesos de concurrencia competitiva en la Administración Pública española. Indica que no se trata de un mero tratamiento de datos en un entorno privado, sino de la ejecución de una potestad administrativa reglada donde la transparencia es la regla general y la opacidad la excepción y que esta afirmación ha sido recogida, de forma reiterada por los Tribunales de Justicia y por la jurisprudencia del Tribunal Supremo. ALEGACIÓN SEGUNDA. - Cuestionamiento de la carga de la prueba y valoración del contexto. Alega que la instructora fundamenta la infracción en que la Universidad incluyó detalles innecesarios sobre la condición de víctima de violencia de género en un documento accesible a una competidora. No obstante, considera que se omite un hecho fundamental: la propia reclamante aportó voluntariamente dicha documentación no solo para la exención de tasas, sino como mérito evaluable bajo el apartado de “Medidas de acción positiva” del baremo de la convocatoria. Afirma que esta dualidad en la finalidad del dato es crítica. Si un candidato invoca una circunstancia personal para obtener una ventaja competitiva (puntuación extra o exención de requisitos), dicha circunstancia pasa a formar parte del núcleo de la motivación del acto. Considera que la Administración no puede, motu proprio, “borrar” la base fáctica de una decisión que afecta a terceros, so pena de incurrir en nulidad por falta de motivación o indefensión de los otros candidatos. Por tanto, se cuestiona la suficiencia probatoria de la afirmación de la AEPD sobre la “disponibilidad de alternativas menos intrusivas”. ALEGACIÓN TERCERA. Motivación de impugnación por defectos formales. UCM considera que el procedimiento sancionador incoado por la Agencia presenta vicios de nulidad y anulabilidad que impiden la continuación del expediente y deben conducir al archivo de las actuaciones por razones de estricta legalidad procesal. Procede a exponer tales motivos: Extensión injustificada del plazo de ejecución de las actividades de investigación. El artículo 67 de la LOPDGDD, en su redacción vigente tras la reforma operada por el Real Decreto-ley 5/2023, establece que las actuaciones previas de investigación no podrán tener una duración superior a dieciocho meses a contar desde el acuerdo de admisión a trámite. En el presente caso, la interesada formuló reclamación ante la Agencia el 12 de febrero de 2024, y el acuerdo de inicio por ese órgano no se dictó hasta el 15 de abril de 2025. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/47 Así, de la lectura íntegra de la propuesta de resolución y del análisis de sus antecedentes, concluye que la Agencia no detalla ni se puede extraer de ella ninguna actividad investigadora concreta realizada entre febrero de 2024 y el 15 de abril de 2025. Considera por tanto que la resolución presenta un vacío de actividad absoluto durante el plazo de “actividades investigadoras”, en su cronología de hechos probados y antecedentes. En virtud de lo expuesto, concluye que la trazabilidad cronológica del expediente revela un vacío de actividad instructora que carece de cobertura técnica en la presente resolución. Al no constar en el índice de actuaciones ni en los antecedentes de la Propuesta la práctica de diligencias de investigación, pruebas de campo o requerimientos de información adicionales entre abril de 2024 y la apertura del procedimiento sancionador (15 de abril de 2025), entiende que el procedimiento se encontraba en estado de resolución desde el inicio del cómputo. Considera que esta parálisis, superior a un año, desvirtúa la finalidad de la prórroga excepcional prevista en el art. 67 de la LOPDGDD, cuyo espíritu legislativo vincula la extensión del plazo a la concurrencia de “sistemas digitales complejos” o investigaciones de alta dificultad, extremos que no concurren en el análisis de un documento estático ya aportado desde el primer momento. ALEGACIÓN CUARTA. - Defectos de fondo en materia de protección de datos. 4.1. El cumplimiento de una obligación legal y el interés público. Alega que la concurrencia competitiva transforma la naturaleza de la privacidad. Considera que en el momento en que varios ciudadanos compiten por un recurso público limitado (una plaza), el expediente administrativo deja de ser un espacio puramente privado para convertirse en un registro compartido entre los “interesados”. Entiende por tanto que la ocultación del dato que justifica la puntuación de un candidato frente a otro supondría una vulneración del derecho a la defensa del competidor. 4.2. Principio de minimización vs. Deber de motivación exhaustiva. Afirma que la Universidad no trató más datos de los necesarios; trató los datos imprescindibles para que la resolución fuera comprensible y recurrible ante los tribunales. En este sentido, expone que un acto administrativo que dijera “se le deniegan los puntos porque no cumple el requisito X” sin especificar que el requisito X es la acreditación de la condición de víctima en activo, sería un acto nulo por falta de motivación fáctica; anulación más gravosa en el seno de un procedimiento de concurrencia competitiva. 4.3. La licitud del tratamiento y la legitimidad de la finalidad. Manifiesta que el tratamiento se realizó, por tanto, con una finalidad legítima: resolver una impugnación en un proceso selectivo y que la Ley Orgánica 1/2004, de Medidas de Protección Integral contra la Violencia de Género, obliga a la Administración a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/47 proteger la intimidad de las víctimas, pero no establece una prohibición absoluta de tratar sus datos en procedimientos donde ellas mismas se personan y solicitan beneficios. Afirma que el derecho a la protección de datos no puede ser utilizado de forma “estratégica” para ocultar a los competidores los fundamentos de una decisión administrativa favorable. 4.4. Evaluación de impacto (EIPD) y su supuesta necesidad. UCM entiende que la propuesta sugiere de forma tangencial que la Universidad debió prever este riesgo. Sin embargo, alega que el tratamiento de datos de candidatos en concursos públicos no se encuentra en la lista de tipos de tratamiento que requieren obligatoriamente una Evaluación de Impacto (EIPD) según la circular de la AEPD, a menos que se trate de un tratamiento masivo o con tecnologías invasivas. Indica que la Universidad utiliza un sistema de gestión tradicional para resolver reclamaciones y que exigir una EIPD para cada resolución individual donde aparezca una circunstancia personal sensible supondría una paralización burocrática de la Administración contraria al principio de eficacia (Art. 103 CE). 4.5. Información y derechos del interesado: El deber de transparencia. Alega que el derecho de acceso del tercero interesado (Art. 53 LPACAP) no es una “cesión de datos” que requiera un aviso específico adicional, sino una consecuencia legal de la participación en un proceso de concurrencia competitiva. 4.6. Medidas de seguridad y diligencia (Art. 32 RGPD). Afirma que la propuesta de resolución califica la conducta como falta de diligencia. Sin embargo, alega la Universidad que implementó medidas de seguridad organizativas de primer nivel: 1. Compromisos de confidencialidad: Todos los miembros de las Comisiones y los interesados que acceden al expediente firman un documento vinculante donde se prohíbe el uso de los datos para fines distintos a la defensa. 2. Acceso restringido: El expediente no fue publicado en el BOE ni en internet; solo fue accesible a las partes personadas mediante clave en sede electrónica. 3. Asesoramiento del DPD: Tras el inicio de las actuaciones y con el fin de extremar la cautela, la Universidad recabó el criterio técnico de su Delegado de Protección de Datos (Informe de 5 de marzo de 2024). Siguiendo las recomendaciones del DPD de fecha 4 de marzo de 2024, se notificó formalmente a la candidata propuesta el carácter estrictamente confidencial de la resolución y su deber de sigilo sobre la información contenida, acreditando una reacción pronta y diligente para mitigar cualquier riesgo residual derivado de la notificación. Considera que la existencia de estas medidas rompe el nexo de culpabilidad y que, por tanto, no hubo negligencia, sino una ponderación jurídica razonada de dos normas en conflicto. ALEGACION QUINTA. - Cuestiones probatorias y exigencia de medios concretos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/47 UCM solicita a la AEPD la previa admisión y práctica de las siguientes diligencias de prueba: 1. Certificación de logs de acceso: Solicita que se verifique por este órgano en la plataforma electrónica de la Universidad cuántas personas accedieron efectivamente al documento objeto de la queja. Esto demostrará que la "difusión" fue nula o mínima, limitándose a la competidora directa y a los funcionarios encargados del trámite. A tal efecto, pide que la Agencia practique prueba solicitando informe a la Dirección de los Servicios Informáticos de la UCM. 2. Informe técnico de la Dirección de los Servicios Informáticos de la UCM: Sobre la configuración del software de gestión de expedientes en febrero de 2024, para demostrar si existía una funcionalidad técnica que permitiera la disociación automática de datos en resoluciones acumuladas. A tal efecto, pide que la Agencia practique prueba solicitando informe a la Dirección de los Servicios Informáticos de la UCM. 3. Aportación de las bases del concurso: Solicita expreso pronunciamiento por parte de la instructora en relación con el Punto 6 del baremo y verifique que la Universidad estaba obligada a valorar la situación de violencia de género para otorgar la puntuación. 4. Copia de resoluciones previas de la AEPD: Solicita que la Agencia incorpore al expediente las resoluciones dictadas en los últimos 2 años sobre casos similares en el ámbito académico universitario o en procesos selectivos de otras Administraciones Públicas, para verificar si se está aplicando un criterio discriminatorio o desproporcionado contra esta Universidad; y se dé traslado a esta parte con el fin de poder formular alegaciones sobre las mismas. 5. Testifical de la Directora de PDI al objeto de que declare sobre la práctica de estos procedimientos de selección de personal, la necesidad de conocer el expediente, la importancia de que se trasladara la cuestión objeto del procedimiento, y si está fue trasladada a una única aspirante. ALEGACIÓN SEXTA. - Defensa sobre la cuantificación de la sanción y proporcionalidad. 6.1. Esta parte considera que existe una ausencia de vulneración sustancial. Alega que para que una infracción sea “muy grave”, la LOPDGDD exige que la vulneración sea sustancial. En este caso considera: • Alcance subjetivo mínimo: El dato no fue objeto de difusión pública ni masiva. Solo fue comunicado a una única persona con interés legítimo en el procedimiento (la otra candidata), en un entorno de comunicación bidireccional y privada. • Entorno de acceso controlado: El acceso al documento se realizó a través de una sede electrónica con autenticación de clave, lo que garantiza que el círculo de conocimiento estuvo estrictamente limitado. • No hubo perjuicio económico o físico demostrado para la interesada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/47 • El dato ya era conocido por la interesada al haber tenido vista del expediente en la fase de información pública (Art. 53 LPACAP). • La Universidad actuó de buena fe, intentando cumplir con el deber de motivación. • Inexistencia de dolo: La inclusión del dato no respondió a una voluntad de lesionar la intimidad, sino a un error de ponderación técnica en el cumplimiento de una obligación legal contrapuesta: el deber de motivación exhaustiva de los actos administrativos (Art. 35 LPACAP). 6.2. Reconocimiento de la actitud diligente y medidas proactivas (Art. 32 RGPD). Alega que la Universidad no actuó con negligencia inexcusable, sino que rodeó el tratamiento de salvaguardas técnicas y organizativas que el Instructor ha infravalorado en su propuesta: • Medidas preventivas: Existencia previa de compromisos de confidencialidad y protocolos de acceso restringido al expediente para interesados. • Actitud diligente post-incidente: Tan pronto como se tuvo conocimiento de la posible disconformidad, la Universidad recabó informe del DPD (marzo 2024) y envió instrucciones de sigilo a la destinataria del dato para evitar cualquier perjuicio ulterior. • Garantía de cumplimiento futuro: La implementación inmediata de nuevas categorías de “información sensible” en los baremos de 2024 demuestra una responsabilidad proactiva (Art. 5.2 RGPD) que considera que debe operar como una atenuante muy cualificada o como causa de degradación de la infracción. 6.3. Contexto de colisión normativa: el “error vencible” Expone que, en el ámbito de las Administraciones Públicas, la frontera entre la transparencia absoluta exigida por el Tribunal Supremo en procesos selectivos y la minimización de datos es un área de alta complejidad jurídica. Entiende que calificar como “muy grave” una decisión tomada por una Comisión Técnica que intentaba evitar la nulidad del concurso por falta de motivación supone criminalizar la labor administrativa en un escenario de colisión de derechos fundamentales. Por ello, considera que el hecho de que la Universidad optara por dar prevalencia a la motivación detallada debe ser visto como un criterio técnico defendible, nunca como una vulneración flagrante y sustancial. 6.4. Inaplicabilidad de multas coercitivas a Administraciones Públicas. En este punto, la Universidad rechaza la declaración formal de infracción, solicitando que, en el peor de los casos, se aplique el artículo 58.2.
6. b)del RGPD para dirigir únicamente un apercibimiento, toda vez que el apercibimiento es la medida más proporcional cuando el responsable ha reaccionado con prontitud y ha modificado sus protocolos internos tras el incidente, como alega que ha efectuado con la instrucción de seudonimización dictada en marzo de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/47 ALEGACIÓN SÉPTIMA. - Deficiencias en la técnica de elaboración de la Propuesta de Resolución e infracción de los principios de tipicidad, presunción de inocencia y buena administración. 1. Desviación de la función instructora hacia una labor de revisión de parte. Considera que la estructura del documento, tras la exposición de hechos, dedica el apartado de Fundamentos de Derecho casi en exclusiva a la refutación de las alegaciones previas de esta Universidad. En esta fase procedimental, entiende que la instrucción debe centrarse en la construcción objetiva y fehaciente del tipo infractor mediante una actividad probatoria de cargo. 2. Indeterminación en la tipificación e inaplicabilidad del Art. 72.1.
7. a)LOPDGDD. Alega que la propuesta concluye que existe una infracción genérica del Art. 5.1.
8. c)del RGPD, pero omite la necesaria subsunción de los hechos en las categorías de gravedad (muy grave, grave o leve) establecidas en la normativa nacional (Art. 72 y ss. LOPDGDD). Afirma que esta falta de precisión normativa limita el ejercicio del derecho a una defensa plena, al no quedar definida con exactitud la calificación jurídica de la conducta, lo cual entronca con una falta de motivación respecto a la calificación de la infracción – sanción. 3. Insuficiencia legal del estándar de "motivación genérica" Afirma que la tesis de la instrucción sugiere que la Universidad debió emplear fórmulas de motivación genérica - como la mera mención al incumplimiento de requisitos del baremo - para evitar el tratamiento de datos. Sin embargo, considera que este planteamiento resulta difícilmente compatible con los estándares exigidos por el derecho administrativo: motivación exigible (art. 35 LPACAP), principio de transparencia y control de la discrecionalidad y obligación de congruencia (Art. 119.3 LPACAP). ALEGACIÓN OCTAVA. - Jurisprudencia y doctrina administrativa aplicable. Señala que la tesis que sostiene se encuentra respaldada por una consolidada línea jurisprudencial y doctrinal, haciendo referencia a: o o o o Doctrina del Tribunal Supremo sobre publicidad: (STS de 22 de noviembre de 2016 (Recurso de Casación 4453/2015). STS de 15 de abril de 2015 (Recurso de Casación 2258/2013). Criterio del Defensor del Pueblo (Queja 18018251). Jurisprudencia sobre la motivación. Por lo expuesto, solicita que se acuerde la anulación total de la propuesta de resolución y el archivo del expediente por considerar que la conducta de la Universidad fue lícita y proporcional al amparo de los artículos 6.1.
9. c)y
10. e)del RGPD y el artículo 53 de la LPACAP y que subsidiariamente, si persistiera la apreciación de infracción, se proceda a su reclasificación como leve y se sustituya la declaración formal de infracción por un apercibimiento, dada la ausencia de dolo y la implementación proactiva de medidas de seguridad antes del inicio del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/47 Asimismo, solicita que se acuerde la suspensión cautelar de los efectos de cualquier orden de cumplimiento de medidas hasta que se resuelva de forma definitiva la validez de los criterios de baremación del concurso ante la jurisdicción contenciosoadministrativa y por último que se proceda a la admisión de la prueba propuesta y a ordenar la práctica de esta. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que la UCM convocó en septiembre de 2023, un concurso de (…), al que concurrieron seis aspirantes. SEGUNDO: La parte reclamante concurrió a ese proceso selectivo. En su solicitud de participación se acogió a su condición de víctima de violencia de género para quedar exenta del abono de la tasa correspondiente, aportando un título habilitante expedido por los servicios sociales de la Comunidad Autónoma. Además, en su instancia solicitaba la aplicación del punto 6 del baremo (Medidas de acción positiva) a causa de su maternidad. TERCERO: Consta que la propuesta de provisión de la plaza fue aprobada por la Comisión de Selección el día 28 de noviembre de 2023. En ella, la parte reclamante recibió 0,5 puntos en el apartado 6 del baremo (la máxima permitida en las llamadas “Medidas de acción positiva”) por haber disfrutado de un permiso de maternidad. La resolución era susceptible de reclamación por los interesados en el plazo de 10 días desde su publicación. Contra la propuesta de resolución se presentaron dos reclamaciones entre las dos primeras candidatas del concurso. CUARTO: En fecha 20 de diciembre de 2023, la Comisión de Selección emitió los informes preceptivos que se le habían solicitado sobre ambas reclamaciones. La Comisión de Selección, al revisar la puntuación asignada a la parte reclamante en el apartado 6.1 del baremo y anular los 0,5 puntos asignados por un permiso de maternidad, decidió de oficio examinar si la candidata podía “recuperar” o compensar esa puntuación en el apartado 6.3, dentro del mismo bloque de “Medidas de acción positiva”, en atención a su condición de víctima de la violencia de género. Y dejó constancia de que tampoco era merecedora de puntuación por ese concepto por el mismo motivo. QUINTO: En fecha 29 de enero de 2024, la Comisión de Reclamaciones dictó acuerdo en el que decidió, primero, acumular las dos impugnaciones interpuestas por apreciar íntima conexión entre ellas, al amparo del art. 57 LPACAP. En segundo lugar, la Comisión hizo suyas las consideraciones del detallado informe de la Comisión de Selección, asumiendo la rectificación de puntuaciones de ambas candidatas. SEXTO: En fecha 9 de febrero de 2024, el Vicerrector de Ordenación Académica y Profesorado, por delegación del Rector, resolvió ratificar la propuesta de provisión de la Comisión de Selección de 28 de noviembre de 2023 y “notificar la presente resolución a todos los interesados en el procedimiento”. La notificación se realizó ese mismo día por correo electrónico y se dirigió a cada una de las candidatas reclamantes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/47 y a la presidenta de la Comisión de Selección (a partir de febrero de 2024 las notificaciones de la Comisión de Reclamaciones se realizan de manera electrónica). Asimismo, también se dio traslado de la resolución al Servicio de Gestión del PDI de la Universidad para proseguir el procedimiento de nombramiento de la candidata propuesta para cubrir la plaza. SÉPTIMO: En dicha resolución, tras identificar a las dos personas que habían presentado reclamación- entre ellas, la reclamante ante la AEPD: se indica lo siguiente: (…) la Comisión de Reclamaciones (…) ha decidido su acumulación por existir entre las mismas la íntima conexión a la que se refiere el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de la Administraciones Pública. A continuación, se detallan los argumentos recogidos en sendas reclamaciones. Posteriormente, en la valoración de los argumentos en los que se basa la reclamación presentada por la reclamante ante esta AEPD, se indica lo siguiente: Respecto a la segunda reclamación, la Comisión de Selección “ha solicitado documentación complementaria a la candidata A.A.A. para disponer del Informe de su vida laboral y poder comprobar si procedía la aplicación del punto 6. Medidas de acción positivas” y ha constatado que, aunque se le reconoció una prestación social durante 4 meses por nacimiento y cuidado de un menor, la reclamante “no ha presentado un certificado que acredite Permiso de maternidad durante el ejercicio de su actividad docente e investigadora en universidades o centros de investigación”. “En consecuencia, esta Comisión de Selección entiende que no procede la aplicación de Medidas de acción positiva por no ajustarse lo acreditado por A.A.A. a la normativa recogida en la convocatoria de la plaza”. La misma consideración merece su condición de víctima de violencia de género desde (…), “dado que en ese período la solicitante no acredita encontrarse en el ejercicio de su actividad docente e investigadora en universidades o centros de investigación”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/47 II Cuestiones previas El artículo 4.1 del RGPD determina el concepto de dato de carácter personal, estableciendo que considera como tal “(…)toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona (…)”. El Grupo de Trabajo del Articulo 29 en su Dictamen 4/2007 “Sobre el concepto de datos personales” nos indica lo siguiente: “La expresión «toda información» utilizada en la Directiva indica claramente la voluntad del legislador de dar un sentido amplio al concepto «datos personales». Esta redacción exige una interpretación amplia. Desde el punto de vista de la naturaleza de la información, el concepto de datos personales incluye todo tipo de afirmaciones sobre una persona. Por consiguiente, abarca información «objetiva» como, por ejemplo, la presencia de determinada sustancia en su sangre, pero también informaciones, opiniones o evaluaciones «subjetivas». Esta última clase de afirmaciones constituye una parte considerable del caudal de datos personales tratados en sectores como el de la banca, para evaluar la fiabilidad de los prestatarios («Fulano es un prestatario fiable»), el asegurador («no se espera que Fulano muera pronto») o el laboral («Fulano es un buen trabajador y merece un ascenso»). Para que esas informaciones se consideren «datos personales», no es necesario que sean verídicas o estén probadas. De hecho, las normas de protección de datos prevén la posibilidad de que la información sea incorrecta y confieren al interesado el derecho de acceder a esa información y de refutarla a través de los medios apropiados. Desde el punto de vista del contenido de la información, el concepto de datos personales incluye todos aquellos datos que proporcionan información cualquiera que sea la clase de ésta. Por supuesto esto incluye la información personal considerada «datos sensibles» en el artículo 8 de la Directiva a causa de su naturaleza particularmente delicada, pero también otras categorías más generales de información. El término «datos personales» comprende la información relativa a la vida privada y familiar del individuo stricto sensu, pero también la información sobre cualquier tipo de activad desarrollada por una persona, como la referida a sus relaciones laborales o a su actividad económica o social. El concepto de «datos personales» abarca, por lo tanto, información sobre las personas, con independencia de su posición o capacidad (como consumidor, paciente, trabajador por cuenta ajena, cliente, etc.).” El citado Dictamen, al analizar el término “indirectamente” como modo de poder llevar a cabo la identificación indicaba que (…) cuando hablamos de «indirectamente» identificadas o identificables, nos estamos refiriendo en general al fenómeno de las «combinaciones únicas», sean estas pequeñas o grandes. En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/47 determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si responsable de su tratamiento tiene conocimiento de ellos como si
11. no)permitirá distinguir a esa persona de otras. Aquí es donde la Directiva se refiere a «uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». Algunas de esas características son tan únicas que permiten identificar a una persona sin esfuerzo (el «actual presidente del Gobierno de España»), pero una combinación de detalles pertenecientes a distintas categorías (edad, origen regional, etc.) también puede ser lo bastante concluyente en algunas circunstancias, en especial si se tiene acceso a información adicional de determinado tipo. Este fenómeno ha sido estudiado ampliamente por los estadísticos, siempre dispuesto a evitar cualquier quebrantamiento de la confidencialidad. Al llegar a este punto, conviene señalar que, si bien la identificación a través del nombre y apellidos es en la práctica lo más habitual, esa información puede no ser necesaria en todos los casos para identificar a una persona. Así puede suceder cuando se utilizan otros «identificadores» para singularizar a alguien. Efectivamente, los ficheros informatizados de datos personales suelen asignar un identificador único a las personas registradas para evitar toda confusión entre dos personas incluidas en el fichero. También en Internet, las herramientas de control de tráfico permiten identificar con facilidad el comportamiento de una máquina y, por tanto, la del usuario que se encuentra detrás. Así pues, se unen las diferentes piezas que componen la personalidad del individuo con el fin de atribuirle determinadas decisiones. Sin ni siquiera solicitar el nombre y la dirección de la persona es posible incluirla en una categoría, sobre la base de criterios socioeconómicos, psicológicos, filosóficos o de otro tipo, y atribuirle determinadas decisiones puesto que el punto de contacto del individuo (un ordenador) hace innecesario conocer su identidad en sentido estricto. En otras palabras, la posibilidad de identificar a una persona ya no equivale necesariamente a la capacidad de poder llegar a conocer su nombre y apellidos. (…) Por su parte, el Considerando 26 del RGPD indica lo siguiente (…) Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. …(…) El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/47 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente expediente, uno de los datos afectados es la condición de víctima de violencia de género que dio lugar a la exención del pago de las tasas por derechos de examen para la selección del Personal Docente al servicio de la Universidad Complutense de Madrid (UCM). Según consta en el mismo, los méritos de maternidad alegados por la solicitante para la aplicación de medidas de acción positiva, y junto a ellos la condición de víctima de género, fueron tenidos en cuenta por la Comisión de Reclamaciones de la Universidad, a la vista del informe emitido por la Comisión de Selección designada para el concurso, a efectos de la mayor garantía del ejercicio de sus derechos. La resolución de la Comisión de Reclamaciones fue debidamente notificada a las partes interesadas, es decir, a la candidata propuesta y a la candidata reclamante. Teniendo en cuenta lo anterior, y las circunstancias específicas del supuesto concreto que se analiza, el acceso a los elementos de valoración en un procedimiento de selección supone conocer información susceptible de ser calificada como dato de carácter personal, pues incluso indirectamente permiten la singularización de su titular. (En el sentido de aislar o diferenciar determinada información de otra, - unos participantes de otros- y atribuir a la misma determinadas consecuencias – por ejemplo, haber obtenido una calificación concreta). A mayor abundamiento, se accede a la valoración de dos participantes en concreto, identificadas mediante nombre y apellidos, lo que ya despeja cualquier duda sobre la consideración de dato de carácter personal. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la UCM realiza, entre otros tratamientos, el recogido en el presente expediente consistente en la comunicación de la información que contiene datos de carácter personal de un participante en un proceso selectivo. La UCM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. III Alegaciones al Acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/47 En relación con las alegaciones aducidas al Acuerdo de inicio, se procede a dar respuesta a las mismas, según el orden expuesto: PRIMERO. - Valoración general. La UCM sostiene que la acumulación de las dos reclamaciones cruzadas de las candidatas se encontraba plenamente justificada desde el punto de vista administrativo, al amparo del artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). Sin perjuicio de que la acumulación pueda considerarse correcta en términos estrictamente procedimentales, conviene recordar que el cumplimiento de las normas de procedimiento administrativo no exonera del respeto a la normativa de protección de datos de carácter personal. La acumulación de reclamaciones no obliga ni habilita a incluir en las resoluciones o acuerdos resultantes datos personales no necesarios, especialmente cuando se trata de información relativa a circunstancias personales sensibles (maternidad, condición de víctima de violencia de género). El órgano tramitador podía haber resuelto de forma acumulada, limitando la exposición de hechos a lo estrictamente imprescindible para motivar la decisión, sin identificar o sin describir en detalle las situaciones personales de una de las aspirantes ante la otra. Por tanto, la licitud de la acumulación no elimina, ni corrige el exceso en el tratamiento de datos que se le imputa a la UCM. Sobre el acceso de la Comisión de Selección a la documentación completa, la UCM reconoce que el Servicio de Personal Docente puso a disposición de la Comisión de Selección la documentación íntegra presentada por las dos candidatas. Argumenta que ello se justifica por la necesidad de revisar exhaustivamente el apartado 6 del baremo (medidas de acción positiva) y por la escasa diferencia de puntuación entre ambas aspirantes. Sin embargo, el principio de minimización de datos exige que solo se traten datos adecuados, pertinentes y limitados a lo necesario para la finalidad concreta. Para resolver las impugnaciones no era preciso un acceso indiscriminado a toda la documentación personal aportada por las candidatas, sino únicamente a aquella que guardaba relación directa con el mérito cuestionado. La documentación aportada por la reclamante incluía datos relativos a su condición de víctima de violencia de género. La forma en que esos datos se incorporan después a los informes y resoluciones constituye un tratamiento adicional, que debe estar igualmente sometido a los principios del RGPD. En consecuencia, el acceso y uso de la documentación personal de la reclamante fue más allá de lo necesario para la finalidad perseguida, vulnerando el principio de minimización. La UCM afirma que la Comisión de Selección, movida por un “exceso de celo” y por la necesidad de asegurar la correcta aplicación de las bases, reexaminó todos los aspectos del apartado 6 del baremo (medidas de acción positiva), valorando no solo el permiso de maternidad, sino también la condición de víctima de violencia de género de la reclamante. Debe puntualizarse que el hecho de que la Comisión decidiera extender C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/47 su revisión a extremos no expresamente planteados en la reclamación no habilita a ampliar sin límite el tratamiento de datos personales. Aunque dicho órgano considere oportuno verificar de oficio determinados extremos, debe hacerlo respetando los límites derivados del RGPD, evitando documentar y difundir información que no resulte imprescindible para la resolución motivada. La decisión de dejar constancia expresa de que la reclamante “no tiene derecho a medidas de acción positiva” por su condición de víctima de violencia de género, detallando su identidad, las fechas y circunstancias, excede lo necesario para justificar la puntuación final en el baremo frente a la otra candidata. No se cuestiona la potestad de la Comisión para revisar la aplicación del baremo, pero sí la forma en que se materializó dicha revisión, al incorporar en documentos que luego se notifican a terceros datos personales innecesarios y especialmente sensibles. En cuanto a la inclusión del dato en el informe, el acuerdo y la resolución notificada, la UCM reconoce que los argumentos relativos a la no aplicación de las medidas de acción positiva por violencia de género se plasmaron inicialmente en el informe de la Comisión de Selección y que, posteriormente, fueron incorporados al acuerdo de la Comisión de Reclamaciones y a la resolución rectoral, notificada a ambas reclamantes. Esta concatenación de actos implica una multiplicación del tratamiento del mismo dato personal, que pasa del expediente individual de la reclamante a documentos de carácter general dentro del procedimiento de revisión, una comunicación de datos personales a terceras personas (otra candidata) que no necesitaba conocer el detalle de su identidad junto con su situación personal para el adecuado ejercicio de sus derechos de defensa. A ello habría que destacar la ausencia de medidas de anonimización, toda vez que existían alternativas menos intrusivas. Por tanto, la reiteración del dato en distintas fases del procedimiento y su notificación a la otra candidata constituye una vulneración clara del principio de minimización del artículo 5.1.
12. c)RGPD. Por otra parte, la UCM justifica el nivel de detalle de la resolución en la necesidad de ofrecer “máxima transparencia” al resto de aspirantes, citando la jurisprudencia del Tribunal Supremo relativa al control de los procesos selectivos. No obstante, la transparencia en los procesos de acceso al empleo público se refiere principalmente a la motivación suficiente de las decisiones y a la posibilidad de control de los méritos y criterios aplicados, no a la divulgación de circunstancias personales ajenas al resto de los candidatos. El derecho de defensa de la otra aspirante se satisface cuando conoce los criterios de valoración y las puntuaciones de cada apartado, sin que sea necesario revelar la identidad junto con datos que describan situaciones de violencia de género o aspectos de la vida privada de sus competidores. La ponderación entre el derecho a la protección de datos y los principios de igualdad, mérito y capacidad se resuelve, en este caso, en favor de la confidencialidad de los datos personales de la reclamante, pudiendo la Administración motivar adecuadamente sus decisiones sin identificar o sin describir esas circunstancias. Por tanto, la transparencia invocada por la UCM no legitima el exceso en el tratamiento de los datos personales de la reclamante. En cuanto a la supuesta imposibilidad de anonimización, la UCM sostiene que no era posible anonimizar la información conflictiva sin menoscabar los derechos de la otra aspirante. Sin embargo, dicha afirmación no puede compartirse ya que resultaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/47 perfectamente viable formular la motivación de la resolución en términos genéricos, indicando que, tras la revisión del apartado 6 del baremo, se concluye que la reclamante “no acredita los requisitos exigidos para la aplicación de las medidas de acción positiva”, sin precisar que se refiere a la condición de víctima de violencia de género ni describir en qué términos. La eventual identificación de la reclamante no obliga a desvelar detalles sobre la causa concreta de la denegación, máxime cuando esta causa se vincula a una circunstancia de especial sensibilidad. La propia legislación sobre violencia de género y las políticas públicas en la materia insisten en la necesidad de extremar la protección de la identidad y situación de las víctimas, lo que refuerza la exigencia de prudencia y minimización en su tratamiento en procedimientos administrativos. En consecuencia, la UCM contaba con alternativas menos intrusivas que hubieran permitido respetar tanto el derecho de defensa de la otra aspirante como la protección de los datos personales de la reclamante. Finalmente, la UCM afirma que el dato tratado “no tiene la consideración de especialmente protegido” y que su tratamiento se ha realizado en un ámbito muy restringido, con compromiso de confidencialidad y sin difusión pública. Al respecto debe señalarse que la información relativa a la condición de víctima de violencia de género y a la percepción de prestaciones por nacimiento y cuidado de menor, aunque formalmente se canalice a través de documentos administrativos, revela aspectos íntimos de la vida de la persona, conectados con su salud física o psíquica, su integridad y su situación sociofamiliar, por lo que merecen una especial protección. Aun cuando no se califique estrictamente como “categoría especial” del artículo 9 RGPD, qué duda cabe de la relación de la información desvelada a terceros sin autorización con información relacionada con la salud de la interesada, su tratamiento debe ser objeto de una ponderación reforzada, que aquí no se ha realizado adecuadamente. El hecho de que la difusión se haya limitado a los órganos intervinientes y a una candidata competidora no desvirtúa el contenido esencial de la infracción que se declara cometida ni supone causa de justificación o exculpación suficiente. En este sentido, la existencia de un compromiso genérico de confidencialidad por parte de los miembros de la Comisión no subsana el exceso en la comunicación del dato, que no debió incluirse en la resolución notificada a la otra aspirante. En cuanto a la proporcionalidad, la infracción afecta a un dato de una única persona y se produce en un contexto en el que la propia UCM disponía de alternativas menos intrusivas, por lo que la apreciación de responsabilidad y la imposición de la sanción resultan plenamente ajustadas a la normativa de protección de datos. A la vista de lo expuesto, procede desestimar las alegaciones formuladas. SEGUNDO. - Sobre la defectuosa tipificación de la infracción. El artículo 5.1.
13. c)del RGPD impone que los datos personales sean “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/47 tratados”. Esta norma incorpora una obligación de diligencia activa que exige a los responsables del tratamiento aplicar criterios de proporcionalidad en cada fase del procedimiento. En este caso, la inclusión en la resolución universitaria de datos identificativos de la reclamante resulta ajena a la finalidad de resolver la controversia sobre la puntuación del baremo y excede, por tanto, los límites de necesidad exigidos por la norma. En este sentido, la infracción resulta sustancial por su impacto directo e irreparable en los derechos fundamentales de la reclamante. La divulgación de sus datos personales a un tercero —otra candidata del proceso selectivo— no constituye un error menor, sino un uso indebido que compromete la intimidad y seguridad de una persona perteneciente además a un colectivo especialmente protegido, por lo que la vulneración debe considerarse sustancial. Por todo lo anterior, procede desestimar la alegación presentada, toda vez que los hechos probados han permitido constatar la comunicación innecesaria de datos personales a un tercero, lo que supone una vulneración sustancial del principio de minimización (art. 5.1.c RGPD), subsumible en el tipo del artículo 72.1.
14. a)LOPDGDD y, por tanto, constitutiva de infracción muy grave. TERCERO. - Valoración del dato personal de tener la condición de víctima de violencia de género. En este punto la UCM alega que el dato era necesario para resolver la reclamación. Sin embargo, consta que la propia Comisión admite que no procede aplicar la medida de acción positiva porque la candidata no estaba en activo. Si la decisión técnica es que "no procede la aplicación por no ajustarse a la normativa", bastaba con indicar que la candidata no cumplía los requisitos administrativos para el baremo, sin necesidad de explicitar su identidad cuando el requisito incumplido era la condición de víctima de violencia de género. Mencionar su identidad es un exceso de información que no añade valor jurídico a la desestimación. El principio de minimización exige que los datos sean "adecuados, pertinentes y limitados a lo necesario". El mero hecho de revelar que una persona es víctima de violencia de género ya constituye un tratamiento de categoría altamente sensible por el riesgo para el titular de que esa información sea conocida por terceros. Su publicación en una resolución enviada a otros competidores (que son compañeros de área profesional) vulnera su derecho fundamental a la protección de datos personales. La UCM intenta justificar la revelación en aras de la "transparencia" y el derecho a la defensa de los otros candidatos (Art. 23.2 CE). Sin embargo, la transparencia en los procesos de concurrencia competitiva se satisface informando sobre la puntuación numérica y el cumplimiento o no de los requisitos. No es necesario que los demás aspirantes conozcan las circunstancias personales de un competidor para ejercer su derecho de defensa. La Ley Orgánica 3/2018 (LOPDGDD) subraya que el anonimato o la ofuscación de datos sensibles debe primar siempre que no impida la comprensión del acto administrativo. El hecho de que la notificación sea electrónica y dirigida a "interesados" no justifica la falta de seudonimización. La Comisión de Reclamaciones podría haber resuelto la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/47 impugnación refiriéndose a "la puntuación del apartado 6 del baremo" sin divulgar el nombre y apellidos de la parte reclamante cumpliendo así con el principio de privacidad desde el diseño. Por otra parte, la UCM admite que el dato se recogió para exención de tasas (finalidad económica) y baremación (finalidad técnica). El uso del dato para su difusión junto con su nombre y apellidos en una resolución de reclamaciones constituye un tratamiento desproporcionado. La Administración tiene el deber reforzado de protección hacia colectivos vulnerables (víctimas de violencia de género), y la exposición de esta condición ante competidores directos puede generar estigmatización laboral, lo cual agrava la infracción. En este sentido, la UCM confunde la identidad de los interesados con la necesidad de revelar circunstancias personales ultrasensibles. Si bien los interesados tienen derecho a conocer quiénes participan y sus puntuaciones (art. 53.1.a de la LPACAP), este derecho no es absoluto. El derecho de defensa de los otros candidatos se satisface conociendo que la candidata "no cumple los requisitos para obtener los 0,5 puntos del apartado 6". Revelar su identidad siendo víctima de violencia de género es un dato excesivo para que un tercero impugne una puntuación. La Administración tiene un deber de sigilo reforzado sobre datos que pueden poner en riesgo la integridad o dignidad de las personas. La Ley Orgánica 1/2004 de Medidas de Protección Integral contra la Violencia de Género y la LOPDGDD exigen la protección de la identidad de las víctimas. Por último, la UCM sostiene que no cabe anonimización, pero en procedimientos selectivos debe aplicarse la seudonimización de datos sensibles siempre que la transparencia pueda garantizarse con medios menos intrusivos. En este sentido, la Universidad debería haber diseñado la resolución de modo que no se divulgara la identidad de la reclamante toda vez que el interés legítimo de los otros candidatos es el control de la legalidad, no el conocimiento de la vida privada y traumática de sus competidores. En consecuencia, procede desestimar la alegación presentada. CUARTO. - Sobre el acceso por terceros a información que contiene datos de carácter personal de participantes en procesos públicos de selección de personal cuando uno de los criterios de valoración es la condición de víctima de violencia de género. En este punto debe significarse que el derecho de acceso de los interesados no es un derecho absoluto. La propia LPACAP y la Jurisprudencia del Tribunal Supremo establecen que el acceso a expedientes debe ser compatible con la protección de datos personales. La obligación legal del responsable es facilitar el acceso a la información pertinente, no a la totalidad de la información sensible si esta no es estrictamente necesaria para el fin perseguido. El acceso al expediente podría haberse realizado mediante la anonimización de los datos identificativos que figuran en la resolución. Al incluir la condición de víctima de violencia de género en un documento que va a ser conocido por terceros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/47 (competidores directos en un entorno laboral académico restringido), la Universidad provoca una divulgación ilícita y tratándose de una víctima de violencia de género, la Administración tiene un deber de diligencia reforzado. Revelar esta condición a terceros bajo el pretexto del artículo 53 LPACAP es desproporcionado y genera un daño reputacional y personal que la norma de protección de datos precisamente pretende evitar. Por último, conviene precisar que el artículo 5 de la LOPDGDD ya establece el deber general de confidencialidad en el tratamiento de datos personales, aplicable a todos los ámbitos, incluidas las Administraciones Públicas. El derecho de acceso al expediente se cumple entregando la información pertinente, y el detalle de la identidad de la reclamante, víctima de violencia de género, en este caso no es pertinente para la resolución del concurso. QUINTO. - Doctrina, jurisprudencia y Defensoría del Pueblo en relación al máximo acceso que los aspirantes de un proceso selectivo deben de tener respecto de la documentación aportada por el resto con el fin de garantizar su derecho defensa y acceso en condiciones de igualdad a punto en las AAPP: preeminencia del principio de publicidad. Si bien el artículo 103 CE y la normativa de función pública consagran la publicidad y transparencia de los procesos selectivos, dicho principio no puede entenderse como una habilitación general para divulgar cualquier información contenida en los expedientes. La autoridad competente debe conciliarlo con los derechos fundamentales reconocidos en los artículos 18 CE y 8 CDFUE, entre ellos el derecho a la protección de datos personales. La doctrina del Tribunal Constitucional y de la Audiencia Nacional ha señalado reiteradamente que la publicidad se refiere al contenido material de las pruebas y resoluciones, no a los datos personales especialmente protegidos de los participantes. Por tanto, el principio de transparencia tiene límites claros en presencia de datos sensibles, como lo son los relativos a la condición de víctima de violencia de género. En este sentido, la jurisprudencia citada por la UCM no avala un acceso total e indiscriminado. La Queja invocada por la Universidad no reconoce un derecho absoluto de acceso a toda la documentación personal de los demás candidatos, sino que subordina dicho acceso a la finalidad de defensa de derechos y al cumplimiento del principio de proporcionalidad. En el presente caso, era perfectamente posible y exigible permitir el derecho de defensa de la otra aspirante sin descubrir la naturaleza de la condición alegada por la reclamante. Bastaba indicar que la puntuación derivaba de “circunstancias personales acreditadas conforme al baremo” o utilizar una pseudonimización funcional que preservara la intimidad sin menoscabar la transparencia del proceso. La ponderación entre publicidad y privacidad impone límites y medidas compensatorias. El equilibrio entre ambos principios exige aplicar una ponderación caso a caso, atendiendo a los criterios de necesidad, adecuación y proporcionalidad. En este supuesto, la inclusión y divulgación de la identidad de la reclamante junto con el dato de víctima de violencia de género no era necesaria para resolver la reclamación ni para comprender los criterios de valoración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/47 Por tanto, el principio de publicidad no puede prevalecer sobre el derecho fundamental a la protección de datos cuando el acceso o difusión de información afecta a categorías de datos, como la condición de víctima de violencia de género. El acceso total al expediente sin anonimización constituye un tratamiento excesivo. En consecuencia, las alegaciones deben ser desestimadas. SEXTO. - Adopción de medidas adecuadas por parte de la UCM. Aunque la Universidad reconoce la existencia de una deficiencia y afirma haber reaccionado con prontitud, tales actuaciones posteriores a los hechos no desvirtúan el contenido esencial de la infracción que se declara cometida. La divulgación de datos identificativos de la parte reclamante junto con el dato de la condición de víctima de violencia de género constituye un tratamiento excesivo y contrario al principio de minimización. En el caso concreto, la Universidad divulgó información sensible identificando por su nombre a una persona víctima de violencia de género y describiendo detalles innecesarios sobre su vida laboral y familiar, cuando el objetivo del procedimiento (resolver una reclamación en un concurso público) podía haberse cumplido sin revelar su identidad. Si bien las medidas adoptadas posteriormente (protocolos de pseudonimización, directrices de acceso restringido o instrucciones separando requisitos y méritos) resultan positivas, su implementación es meramente reparadora y no exime de responsabilidad conforme al artículo 83.2 del RGPD. SÉPTIMO. - Conclusión. Como conclusión, la Universidad confunde la licitud del tratamiento inicial (uso del dato para acreditar la exención de tasa o la medida de acción positiva) con la licitud de su comunicación posterior a terceros. Que el dato fuera necesario para verificar un requisito o mérito no autoriza la inclusión de la identidad de la reclamante en la resolución y su notificación a terceros. El RGPD exige limitar el tratamiento a lo estrictamente indispensable para el fin perseguido, y en este caso el mismo fin, resolver las reclamaciones, habría sido alcanzado sin revelar la identidad de la reclamante. El principio de publicidad de los procesos selectivos (art. 103 CE) no es absoluto ni prevalente frente a los derechos fundamentales a la intimidad y a la protección de datos personales. El propio artículo 5.1
15. c)RGPD y la doctrina del Tribunal Constitucional obligan a ponderar la publicidad con la proporcionalidad y necesidad del dato publicado. En el caso concreto que nos ocupa, la información difundida superó lo necesario para garantizar la transparencia del procedimiento. El hecho de que el acceso se limitara a los órganos decisivos y a otra reclamante no supone una causa de justificación o exculpación suficiente. Es irrelevante que el ámbito de difusión fuera reducido si la información comunicada era innecesaria para ejercer el derecho de defensa. La gravedad viene dada por la naturaleza del dato (condición de víctima de violencia de género) y el riesgo potencial para la persona afectada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/47 En consecuencia, la Universidad sí incurrió en vulneración del principio de minimización de datos personales, al comunicar información sensible innecesaria para la finalidad perseguida, por lo que procede la imposición de sanción conforme al RGPD y la LOPDGDD. Por tanto, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. IV Alegaciones a la Propuesta de Resolución En relación con las alegaciones aducidas a la Propuesta de Resolución, se procede a dar respuesta a las mismas, según el orden expuesto: ALEGACIÓN PRIMERA. - Hechos relevantes y cuestionamiento probatorio. En primer lugar, debe significarse que los principios de publicidad y transparencia no operan de manera aislada, sino en el marco del sistema constitucional de derechos fundamentales, en particular los consagrados en el artículo 18 de la Constitución Española (derecho a la intimidad) y en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea (protección de datos personales), así como en el RGPD y en la LOPDGDD. El principio de publicidad en los procesos selectivos no constituye, por tanto, una habilitación general e incondicionada para difundir cualquier dato personal contenido en los expedientes administrativos, y su ejercicio ha de conciliarse necesariamente con el cumplimiento estricto de los principios de protección de datos, entre ellos, el de minimización del artículo 5.1.
16. c)RGPD. Por otra parte, la transparencia en procesos selectivos se refiere primordialmente a los criterios de valoración, a las puntuaciones obtenidas, a la motivación de las decisiones y a la posibilidad de control de la legalidad de los actos, pero no exige ni ampara la divulgación de circunstancias personales especialmente sensibles de los aspirantes, cuando éstas no resultan imprescindibles para la defensa de los derechos de los demás participantes. En el caso examinado, la infracción apreciada no se refiere al tratamiento inicial del dato relativo a la condición de víctima de violencia de género (que pudo resultar necesario para la exención de tasas o, en su caso, para la eventual valoración de determinadas medidas de acción positiva), sino a la forma en que dicho dato fue posteriormente reutilizado e incorporado a diversos documentos (informe de la Comisión de Selección, acuerdo de la Comisión de Reclamaciones y resolución rectoral) y, en última instancia, comunicado a otra candidata, identificando a la reclamante por su nombre y apellidos junto con la referencia expresa a su condición de víctima de violencia de género. Como se ha ido señalando a lo largo del procedimiento sancionador, la información relativa a la condición de víctima de violencia de género, aun cuando no figure de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/47 forma expresa entre las categorías especiales del artículo 9 RGPD, es un dato que revela aspectos íntimos de la vida de la persona y que puede conllevar un riesgo elevado para su integridad física, psicológica y su situación sociofamiliar, exigiendo, en consecuencia, una protección reforzada. De ahí que se insista en la necesidad de evitar su difusión innecesaria y de adoptar medidas específicas para impedir la localización o estigmatización de las víctimas, también en el ámbito de los procesos selectivos de empleo público. En suma, la alegación de la UCM, apoyada en la supuesta prevalencia del principio de transparencia y en el contexto de concurrencia competitiva, no desvirtúa el hecho de que, en la fase concreta analizada, se produjo una comunicación a un tercero (otra candidata) de un dato personal de naturaleza especialmente sensible —la condición de víctima de violencia de género —que no era necesario para la finalidad de resolver la reclamación ni para que la otra aspirante pudiera ejercer su derecho de defensa. Por consiguiente, la alegación debe ser desestimada. ALEGACIÓN SEGUNDA. - Cuestionamiento de la carga de la prueba y valoración del contexto. En primer lugar, la aportación voluntaria del dato por parte de la reclamante ya sea para la exención de tasas o para la eventual obtención de una puntuación adicional, no exime al responsable de la obligación de aplicar el principio de minimización del artículo 5.1.
17. c)RGPD en cada una de las fases posteriores del tratamiento, en particular en la fase de redacción y comunicación de las resoluciones a terceros. La voluntariedad de la aportación del dato no implica un consentimiento tácito para la difusión amplia o detallada de una circunstancia de especial sensibilidad ante otros competidores, ni convierte en necesario cualquier modo de expresar esa circunstancia en los actos administrativos. En segundo lugar, es cierto que la circunstancia personal alegada por la candidata constituye un elemento relevante para decidir si procede o no la aplicación de las medidas de acción positiva previstas en el baremo. Sin embargo, debe diferenciarse entre la necesidad de que la Administración valore internamente si concurren los requisitos para otorgar el mérito, y el nivel de detalle con el que esa circunstancia se refleja en la motivación de la resolución que se notifica a otros interesados. El núcleo de la motivación, desde la perspectiva jurídico-administrativa, consiste en explicar si se aplica o no el apartado correspondiente del baremo, qué requisitos prevé la convocatoria y por qué, en el caso concreto, se considera que la aspirante los cumple o no los cumple. En este sentido, los otros aspirantes ven garantizado su derecho de defensa cuando conocen: qué apartados del baremo se han aplicado o denegado, qué puntuación se ha asignado en cada uno de ellos y cuál es la razón jurídica de la decisión. Sobre esa base, cualquier competidor puede impugnar la legalidad de la puntuación otorgada o denegada, sin necesidad de conocer la concreta naturaleza de la situación personal subyacente, máxime cuando se trata de una condición —víctima de violencia de género—respecto de la que existe un deber reforzado de reserva y protección. La Administración podía haber optado por describir la decisión en términos estrictamente normativos (“no concurren los requisitos para la aplicación de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/47 medidas de acción positiva”), o separar, en su caso, la información identificativa de la circunstancia sensible, preservando esta última en una parte del expediente no objeto de notificación a terceros. Al no hacerlo y elegir la opción más invasiva —incluir en la resolución notificada a otra aspirante la identificación de la reclamante junto con la referencia expresa a su condición de víctima—la Universidad incumplió su deber de diligencia en la aplicación del principio de minimización. Por último, debe reiterarse que el principio de motivación de los actos administrativos y el derecho de defensa de los interesados no amparan la difusión indiscriminada de datos de carácter íntimo cuando existen vías alternativas, igualmente eficaces para el control de la legalidad, pero menos lesivas para la esfera privada de la persona afectada. Que el dato fuera relevante para valorar un mérito o una exención no autoriza su reproducción detallada en resoluciones dirigidas a terceros. La dualidad de finalidad invocada por la UCM refuerza, precisamente, la obligación de modular el contenido de las comunicaciones externas, de modo que se limite a la información estrictamente necesaria para explicar el resultado del procedimiento, en cumplimiento del artículo 5.1.
18. c)RGPD. En consecuencia, la alegación debe ser desestimada. ALEGACIÓN TERCERA. Motivación de impugnación por defectos formales. La UCM sostiene que el procedimiento sancionador presenta vicios de nulidad y anulabilidad derivados de una supuesta “extensión injustificada” de las actuaciones previas de investigación, afirmando que, entre la reclamación de 12 de febrero de 2024 y el acuerdo de inicio de 15 de abril de 2025, habría existido un vacío absoluto de actividad instructora contrario al artículo 67 LOPDGDD. Sin embargo, el planteamiento que UCM realiza sobre esta cuestión en sus alegaciones no se ajusta a Derecho. En el presente caso, se presentó una reclamación la cual fue admitida a trámite por la AEPD, el 27 de marzo de 2024, en cumplimiento del artículo 64 LOPDGDD. Artículo 64. Forma de iniciación del procedimiento y duración. “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/47 orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. (el subrayado es nuestro). El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” De dicha normativa no se infiere en modo alguno que la AEPD tenga que realizar actuaciones previas de investigación. En este sentido, el inicio de investigaciones previas y su realización, es potestad de la AEPD. Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no. Una vez admitida a trámite la reclamación, como indica el artículo 67.2 LOPDGDD, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias, lo que no aconteció en este caso. Es una potestad que tiene atribuida la AEPD por el RGPD y por la LOPDGDD. Sin perjuicio de lo anterior, debe señalarse, además, que el plazo de caducidad del presente procedimiento se computa desde la fecha en que se acuerda su inicio, esto es, desde el 15 de abril de 2025, resultando improcedente añadir a ese cómputo, a efectos de medir la duración del expediente administrativo, ningún otro período, tal y como el tiempo de las actuaciones previas de investigación, o el tiempo que transcurra entre la finalización de esas actuaciones y la apertura del procedimiento, ni el tiempo correspondiente a la fase de admisión a trámite de las reclamaciones presentadas. Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de 21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo siguiente: “[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente sancionador, lo que obviamente excluye del cómputo el tiempo de la información reservada";" […] la mayor o menor duración de la fase preliminar no lleva aparejada la caducidad del procedimiento ulterior". En consecuencia, la alegación debe ser desestimada. ALEGACIÓN CUARTA. - Defectos de fondo en materia de protección de datos. 4.1. El cumplimiento de una obligación legal y el interés público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/47 En primer lugar, debe significarse que el hecho de que varios ciudadanos compitan por un recurso público limitado no transforma la naturaleza jurídica de los datos personales contenidos en el expediente. El artículo 53 de la Ley 39/2015 reconoce a los interesados el derecho de acceso al expediente, pero expresamente “con los límites establecidos en la Constitución y en las leyes”, entre los que se encuentran los derivados de la normativa de protección de datos y de los derechos fundamentales a la intimidad y a la protección de datos personales. El expediente continúa siendo un conjunto de datos sometidos a reserva, respecto del cual las Administraciones están obligadas a respetar, entre otros, el principio de minimización del artículo 5.1.
19. c)RGPD. El principio de minimización exige que, al comunicar información a otros interesados, únicamente se revelen datos “adecuados, pertinentes y limitados a lo necesario” en relación con la finalidad perseguida, que en este caso es permitir el control de la legalidad de la puntuación y el ejercicio del derecho de defensa, no la difusión de circunstancias íntimas relativas a una víctima de violencia de género. El ordenamiento impone una ponderación caso por caso, en la que el derecho de defensa y el principio de publicidad deben armonizarse con los derechos del artículo 18 CE y con el RGPD. Esta ponderación obliga a garantizar que los competidores puedan conocer los criterios de valoración, las puntuaciones y la normativa aplicada, y proteger los datos especialmente sensibles o relativos a colectivos vulnerables, evitando su divulgación innecesaria. En este equilibrio, la solución compatible con el artículo 5.1.
20. c)RGPD es permitir el acceso a la información pertinente (apartados del baremo, puntuación, cumplimiento o no de requisitos) sin revelar la condición de víctima de violencia de género ni otros extremos íntimos que no añaden valor jurídico al control del proceso. Por último, la Administración no puede trasladar a los competidores directos la totalidad de la información personal obrante en el expediente bajo la idea de un supuesto “espacio común”, sino únicamente aquella estrictamente imprescindible para que ejerzan su derecho de defensa. En el caso concreto, la identificación de la reclamante unida a su condición de víctima de violencia de género excede claramente de lo necesario para la finalidad de control de la puntuación, por lo que la alegación debe ser desestimada. 4.2. Principio de minimización vs. Deber de motivación exhaustiva. Desde la perspectiva del derecho de defensa de los competidores y de la exigencia de motivación suficiente, lo relevante es que los restantes aspirantes puedan conocer qué apartado del baremo se ha aplicado o denegado, qué puntuación se ha otorgado o se deniega, y cuál es la razón jurídica de la decisión. Esta información permite a cualquier competidor entender el criterio seguido, valorar su adecuación a las bases y, en su caso, impugnar la resolución alegando una incorrecta interpretación del baremo o una aplicación indebida de sus requisitos. Para ello no resulta necesario, ni proporcionado, que se revele a terceros que la concreta circunstancia examinada es la condición de víctima de violencia de género, ni que se detallen fechas u otros extremos de la vida privada de la interesada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/47 La alegación de la UCM, según la cual la omisión de la referencia explícita a la condición de víctima de violencia de género en la motivación dirigida a otra candidata comportaría la nulidad del acto, no puede aceptarse. Una resolución que identifica el apartado del baremo discutido, la base de la convocatoria aplicable y la razón por la que se entiende que no concurren sus requisitos contiene una motivación suficiente desde el punto de vista jurídico-administrativo. La motivación no desaparece por el hecho de que la Administración se abstenga de exteriorizar, ante terceros, la naturaleza íntima de la circunstancia que se ha valorado internamente. El expediente completo, con los documentos que acreditan la condición de víctima de violencia de género y el detalle de su análisis, permanece a disposición de los órganos de control y de la jurisdicción contencioso-administrativa, sin necesidad de que esa información se vuelque íntegramente en la resolución notificada a los demás interesados. Por consiguiente, no es correcto afirmar que la Universidad “no trató más datos de los necesarios”: trató y comunicó a una tercera persona (la otra candidata) la información de que la reclamante es víctima de violencia de género, incorporando ese dato de forma expresa en la resolución, cuando podía haber limitado la motivación a la falta de cumplimiento de los requisitos del apartado de medidas de acción positiva, sin mencionar la naturaleza íntima de la circunstancia valorada. 4.3. La licitud del tratamiento y la legitimidad de la finalidad. En el caso analizado, no se cuestiona que la Universidad pudiera recabar y utilizar la información relativa a la condición de víctima de violencia de género de la reclamante para valorar su exención de tasas y analizar, en su caso, la procedencia de aplicar medidas de acción positiva previstas en el baremo. La infracción apreciada se localiza en una fase posterior y distinta del tratamiento: la incorporación de ese dato, identificado con nombre y apellidos, en resolución que se notifica a otra candidata, cuando la finalidad de resolver la impugnación y de permitir el control de la legalidad del proceso podía alcanzarse mediante fórmulas menos intrusivas, sin necesidad de revelar a terceros la concreta circunstancia íntima alegada por la interesada. El hecho de que la reclamante haya aportado voluntariamente el documento habilitante para obtener un beneficio no transforma su condición de víctima en un dato libremente comunicable a otros aspirantes; la Administración sigue obligada a limitar la difusión de esa información a lo estrictamente necesario. Tampoco puede acogerse el argumento según el cual la protección de datos se utilizaría “estratégicamente” para ocultar fundamentos de una decisión favorable. El límite que se impone no nace de una estrategia procesal de la interesada, sino de un mandato objetivo del ordenamiento: el responsable del tratamiento debe diseñar el procedimiento de forma que el contenido de las resoluciones y de las notificaciones preserve, en la mayor medida posible, la confidencialidad de los datos especialmente sensibles, sin menoscabar por ello el derecho de defensa de los demás interesados. Nada impide que la otra aspirante conozca qué apartado del baremo se ha aplicado o se ha denegado, qué puntuación se ha otorgado y qué requisitos exige la convocatoria; sobre esa base puede cuestionar la legalidad de la resolución. Lo que se trata de impedir es que, bajo el pretexto de la transparencia, se vincule la identidad de la reclamante con la información de que es víctima de violencia de género en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/47 documento dirigido a un competidor directo, cuando dicha precisión no añade valor jurídico relevante a la comprensión ni a la impugnación de la decisión. En este sentido, la finalidad de resolver una impugnación en un proceso selectivo es legítima, pero podía alcanzarse, y debía alcanzarse, a través de un diseño de tratamiento que evitara comunicar a terceros un dato de especial sensibilidad que no era imprescindible para el ejercicio del derecho de defensa de los competidores. En consecuencia, la alegación debe ser desestimada. 4.4. Evaluación de impacto (EIPD) y su supuesta necesidad. En relación con la alegación relativa a la supuesta exigencia de una Evaluación de Impacto relativa a la Protección de Datos (EIPD), debe precisarse, ante todo, que la infracción apreciada en el presente expediente no se fundamenta en la omisión de una EIPD ni en la obligación formal de llevarla a cabo, sino en la vulneración material del principio de minimización del artículo 5.1.
21. c)RGPD al comunicar a un tercero un dato de especial sensibilidad que no era necesario para la finalidad perseguida. La referencia a la necesidad de prever el riesgo derivado del tratamiento de datos de víctimas de violencia de género se incardina en el deber general de responsabilidad proactiva del responsable, no en la imposición de una EIPD específica para cada resolución individual. 4.5. Información y derechos del interesado: El deber de transparencia. En este punto debe significarse que, aunque los candidatos tienen derecho a acceder a la documentación relevante para controlar la legalidad del procedimiento, dicho acceso debe modularse cuando en el expediente figuran datos especialmente sensibles. La Administración debe diseñar el procedimiento de modo que ese acceso se produzca respetando el principio de minimización (anonimizando o evitando la inclusión de datos innecesarios en las resoluciones que se notifiquen a terceros). El acceso del tercero interesado es una forma de comunicación de datos amparada por una base legal, pero sometida a los mismos límites materiales: solo deben facilitarse aquellos datos que resulten adecuados, pertinentes y limitados a lo necesario para la finalidad de defensa de sus derechos. La inclusión de la identidad de la reclamante unida a su condición de víctima de violencia de género en la resolución notificada a otra candidata excede de lo necesario para esa finalidad y vulnera, por ello, el principio de minimización del artículo 5.1.
22. c)RGPD, razón por la cual la alegación debe ser desestimada. 4.6. Medidas de seguridad y diligencia (Art. 32 RGPD). La existencia de determinados instrumentos formales (compromisos de confidencialidad, acceso mediante clave, ausencia de publicación en boletines oficiales) no convierte automáticamente en diligente un tratamiento que, en su propia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/47 concepción, vulnera el principio de minimización del artículo 5.1.
23. c)RGPD al comunicar a un tercero, datos que no eran necesarios para la finalidad perseguida. En segundo lugar, los compromisos de confidencialidad que firman los miembros de las Comisiones y los interesados que acceden al expediente, así como el recordatorio posterior del deber de sigilo a la candidata propuesta, actúan sobre el uso ulterior de los datos por parte de quienes ya han tenido acceso a ellos, pero no neutralizan el hecho de que la Universidad decidiese incorporar a la resolución notificada a esa candidata la identidad completa de la reclamante unida a su condición de víctima de violencia de género. Es decir, el dato ya había sido divulgado a un tercero; exigirle luego que no lo use indebidamente no repara el exceso ni convierte en necesario lo que no lo era. Por otra parte, desde la óptica del principio de minimización, el hecho de que el círculo de destinatarios sea reducido no legitima la inclusión del dato sensible si éste podía evitarse mediante una motivación menos intrusiva. Por último, la alegación de que existió una “ponderación jurídica razonada de dos normas en conflicto” tampoco desvirtúa el reproche de falta de diligencia. La ponderación entre publicidad/defensa y privacidad debía conducir, conforme al principio de minimización, a elegir una solución que permitiera a los competidores conocer el apartado del baremo aplicado y la razón jurídica de la decisión, sin revelar la concreta circunstancia de violencia de género. La elección de una fórmula de motivación que asocia la identidad de la reclamante con dicha circunstancia ante una tercera persona, pese a existir alternativas menos intrusivas y conocidas en la práctica administrativa, evidencia una infracción del deber de adoptar medidas organizativas de diseño y por defecto orientadas a limitar el tratamiento a lo necesario. En consecuencia, las medidas invocadas por la UCM no suponen una causa de justificación suficiente por lo que la alegación debe ser desestimada. ALEGACION QUINTA. - Cuestiones probatorias y exigencia de medios concretos La UCM interesa la práctica de diversas diligencias en fase de alegaciones a la Propuesta de Resolución. Sin embargo, debe recordarse que ya dispuso de oportunidad para proponer y aportar prueba en el trámite de alegaciones al Acuerdo de inicio del procedimiento sancionador, momento procesal expresamente previsto para la fijación de los hechos y la proposición de medios de prueba. La solicitud actual resulta, por tanto, extemporánea, en la medida en que pretende abrir una nueva fase probatoria cuando la instrucción se encuentra ya concluida y el objeto del procedimiento suficientemente delimitado. Conforme al artículo 77.7 de la LPACAP, la prueba practicada debe ser tenida en cuenta en la propuesta de resolución, lo que refuerza que la fase probatoria ha de quedar circunscrita al periodo de instrucción, y no reabrirse una vez formulada aquélla. En segundo lugar, las solicitudes relativas a certificación de logs de acceso, informe técnico sobre el software de gestión y testifical de la Directora de PDI se refieren a documentación e información interna que la propia Universidad podía haber aportado directamente en cualquier momento del procedimiento, sin necesidad de que la Agencia las recabara de oficio. A ello se añade que, en lo que respecta a los accesos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/47 al expediente, la infracción apreciada se vincula al hecho de haber comunicado a una tercera aspirante la identidad de la reclamante asociada a su condición de víctima de violencia de género; circunstancia ya acreditada en el expediente. El número concreto de personas que hayan podido acceder al documento no elimina ese acceso indebido, y solo podría, en su caso, incidir en la graduación de la infracción, pero no en su existencia. En cuanto a la aportación de las bases de la convocatoria y, en concreto, del punto 6 del baremo, debe señalarse que la valoración de la situación de violencia de género como posible medida de acción positiva no se encuentra en tela de juicio. Lo que motiva este procedimiento no es la decisión técnica-jurídica sobre la puntuación, sino el modo en que la Universidad ha tratado y custodiado esa información, en particular al hacer público el nombre de la reclamante en una resolución que la vincula expresamente con la condición de víctima de violencia de género y que es notificada a otra aspirante. La controversia se centra, por tanto, en el acceso y la comunicación de datos personales sensibles a terceros, no en la oportunidad o corrección de la baremación, por lo que la prueba solicitada resulta irrelevante. Finalmente, la incorporación al expediente de resoluciones previas de la AEPD para que la UCM pueda valorar si se le dispensa un trato discriminatorio carece igualmente de naturaleza probatoria. Las resoluciones de esta Agencia son públicas y se encuentran accesibles en la página web institucional, pudiendo UCM citarlas, analizarlas y acompañarlas a sus escritos de alegaciones sin necesidad de su incorporación formal como prueba. En cualquier caso, no existe trato discriminatorio alguno hacia la Universidad, aplicándose en este expediente los mismos criterios que en casos análogos. Por todo lo expuesto, y de conformidad con el artículo 77 LPACAP, procede denegar la práctica de las diligencias de prueba interesadas al ser extemporáneas, no determinantes y referirse a extremos que la propia parte pudo aportar durante la instrucción, sin que tal denegación suponga merma del derecho de defensa de la reclamada. ALEGACIÓN SEXTA. - Defensa sobre la cuantificación de la sanción y proporcionalidad. 6.1. Esta parte considera que existe una ausencia de vulneración sustancial. Como se ha ido señalando a lo largo del procedimiento sancionador, la condición de víctima de violencia de género es un dato especialmente sensible, íntimamente ligado a la integridad física y psíquica, a la situación familiar y a la esfera más reservada de la persona. Su comunicación a un tercero (una competidora directa en el mismo ámbito profesional), implica un riesgo cierto de estigmatización y afectación de la dignidad de la interesada, que excede claramente de un mero incumplimiento formal. El hecho de que la difusión no haya sido masiva no supone una causa de exculpación suficiente cuando el dato llega precisamente a quien compite con la reclamante en un entorno laboral reducido. Por otra parte, el hecho de que el acceso se haya producido en un entorno electrónico autenticado y con un círculo aparente de destinatarios limitado no neutraliza la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/47 infracción. El principio de minimización del artículo 5.1.
24. c)RGPD exige que no se comuniquen datos innecesarios ni siquiera dentro de un entorno “controlado”. La existencia de medidas de seguridad técnicas y organizativas (acceso con clave, compromisos de confidencialidad) no convierte en necesario un dato que no lo es. Con respecto al perjuicio económico o físico debe indicarse que, tratándose de información sobre violencia de género, el simple hecho de que terceros conozcan dicha condición puede generar consecuencias psicológicas, sociales y profesionales de difícil cuantificación económica, lo que justifica un estándar reforzado de protección y una calificación especialmente grave de su divulgación indebida. Que ella misma haya aportado la documentación o haya tenido vista del expediente no legitima que otro candidato conozca su condición de víctima de violencia de género cuando ese conocimiento no es imprescindible para el control de la legalidad del proceso selectivo. Por último, en cuanto a la alegación relativa a la buena fe, la inexistencia de dolo y el error de ponderación debe significarse que la Universidad, como responsable del tratamiento, estaba obligada a prever el riesgo que comporta la revelación de datos relativos a víctimas de violencia de género y a elegir la opción de motivación menos intrusiva, lo que no hizo pese a disponer de alternativas claras. Por todo lo expuesto, debe concluirse que la comunicación innecesaria de la condición de víctima de violencia de género de la reclamante a otra aspirante, en el marco de un procedimiento selectivo, constituye una vulneración sustancial del principio de minimización, por afectar a la esfera más reservada de la interesada y crear un riesgo relevante para su dignidad y sus derechos fundamentales. En consecuencia, la alegación formulada sobre la inexistencia de vulneración sustancial y la desproporción de la sanción ha de ser desestimada. 6.2. Reconocimiento de la actitud diligente y medidas proactivas (Art. 32 RGPD). En primer lugar, el artículo 32 RGPD se refiere a la obligación de adoptar medidas técnicas organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, pero dichas medidas deben diseñarse antes y durante el tratamiento, de forma que eviten que se produzcan comunicaciones innecesarias de datos personales. En el caso concreto que nos ocupa, el incumplimiento del principio de minimización (art. 5.1.c RGPD) deriva del propio contenido de la resolución, que fue redactado y notificado a un tercero por el responsable pese a disponer de alternativas menos intrusivas. En segundo lugar, las actuaciones posteriores al incidente (recabar informe del DPD en marzo de 2024, dirigir instrucciones de sigilo a la destinataria, introducir nuevas categorías de información sensible en baremos posteriores) constituyen medidas que tienen un carácter esencialmente reparador o preventivo para el futuro, pero no eliminan la infracción ya cometida. La responsabilidad proactiva del artículo 5.2 RGPD se concibe, precisamente, como la capacidad del responsable para demostrar que ha configurado ex ante sus procedimientos conforme al Reglamento, no como una mera reacción a posteriori una vez producida la vulneración. El hecho de que la Universidad afirme haber intentado cumplir con el deber de motivación evidencia un error en la ponderación entre transparencia y protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/47 datos. El estándar exigible a una administración pública implica extremar la cautela cuando se trata de datos relativos a víctimas de violencia de género y optar por la solución menos intrusiva que permita motivar el acto sin revelar circunstancias íntimas innecesarias. Por todo ello, la alegación debe ser desestimada. 6.3. Contexto de colisión normativa: el “error vencible” En primer lugar, la calificación de la infracción como muy grave deriva de la concurrencia de los elementos definidos en el artículo 72.1.
25. a)LOPDGDD: la infracción de los principios del artículo 5 RGPD, en particular el de minimización, como vulneración sustancial. En segundo lugar, la invocada “colisión normativa” entre transparencia y protección de datos no es un terreno completamente indeterminado. En procesos selectivos, el principio de publicidad debe compatibilizarse con la protección de datos, de modo que solo se publiquen o comuniquen los datos necesarios para garantizar la igualdad y el control del procedimiento. La propia LOPDGDD y la legislación sobre violencia de género subrayan la necesidad de extremar la reserva de los datos de las víctimas, lo que sitúa a la Administración ante una obligación reforzada de prudencia. En este contexto, la decisión de plasmar en la resolución dirigida a otra aspirante la condición de víctima de violencia de género de la reclamante, con su identificación completa, no puede calificarse como una opción técnicamente defendible, sino como la elección más intrusiva de entre otras disponibles, habida cuenta de la naturaleza del dato afectado y del impacto potencial sobre los derechos fundamentales de la persona interesada. Por tanto, la alegación debe ser desestimada. 6.4. Inaplicabilidad de multas coercitivas a Administraciones Públicas. En primer lugar, cuando el responsable es una Administración Pública, el artículo 77.2 LOPDGDD establece que la autoridad de protección de datos dictará resolución declarando la infracc